PHP, Node.js i LiteLLM u nizu ozbiljnih bezbednosnih problema
Više kritičnih tačaka istog dana
Internet je istog dana pogodio niz nepovezanih bezbednosnih problema: ranjivosti u PHP-u dovele su do nedostupnosti pojedinih državnih sajtova širom sveta, Node.js je objavio zakrpe za četiri ranjivosti visokog rizika, a LiteLLM je prijavio kompromitovane pakete i slike distribuirane preko PyPI-ja, Docker Hub-a i GHCR-a.
Ozbiljnost problema u PHP-u bila je dovoljna da američka Agencija za nacionalnu bezbednost, NSA, organizacijama koje koriste taj jezik preporuči trenutno ažuriranje. Sistemima koji ne mogu odmah da dobiju zakrpu savetovano je privremeno isključivanje.
Ovakva preporuka naglašava koliko biblioteke, izvršna okruženja i razvojni alati mogu postati operativni rizik kada se kritična slabost pojavi u široko rasprostranjenoj tehnologiji. Nedostupnost servisa tada nije samo tehnički incident, već i odluka o smanjenju izloženosti napadu.
Node.js zakrpe i kompromitovani LiteLLM artefakti
Node.js je u najnovijem izdanju zakrpio četiri ranjivosti visoke ozbiljnosti. Jedna je mogla da omogući daljinsko izvršavanje koda, dok su dve mogle da omoguće zaobilaženje TLS validacije, odnosno provera koje služe za potvrđivanje identiteta servera.
Za timove koji održavaju aplikacije to znači da ažuriranje ne treba posmatrati samo kao redovno održavanje. Potrebno je utvrditi koje verzije Node.js-a koriste produkcioni sistemi, razvojna okruženja i automatizovani procesi, pa potom proveriti da li su bezbedne verzije zaista primenjene.
LiteLLM, open-source proksi za usmeravanje zahteva ka različitim LLM provajderima, saopštio je da je napadač ubacio zlonameran kod. Artefakti su objavljeni na PyPI-ju, Docker Hub-u i GitHub Container Registry-ju, odnosno GHCR-u.
Kompanija je navela da je zlonamerni kod sadržao kradljivac podataka usmeren na cloud kredencijale, lozinke i kredencijale za AI servise, kao i trojanac za udaljeni pristup koji može omogućiti izvršavanje komandi na kompromitovanim sistemima. LiteLLM je uklonio zlonamerna izdanja i slike i objavio smernice za otklanjanje posledica korisnicima koji su ih instalirali.
Sertifikati i širi lanac rizika
Dodatni problem predstavlja kompromitovanje privatnih ključeva indijskog sertifikacionog tela eMudhra. Takav događaj može napadačima omogućiti izdavanje lažnih sertifikata i predstavljanje kao legitimni veb-sajtovi, što direktno podriva poverenje koje TLS infrastruktura treba da obezbedi.
Niz dolazi posle prijavljenog proboja TiDB Cloud-a, eksploatacije četiri zakrpljene ranjivosti Plex Media Server-a poznatih kao Plex2Shell i upozorenja kompanije BeyondTrust o kritičnoj zero-day ranjivosti u proizvodu Remote Support, iskorišćavanoj od avgusta.
Iako ovi incidenti nisu međusobno povezani, njihov istovremeni dolazak povećava pritisak na bezbednosne timove. Praktičan poslovni zaključak je da prioritet treba dati popisu zavisnosti, brzoj primeni zakrpa, proveri instaliranih paketa i rotaciji izloženih kredencijala, uz jasne procedure za privremeno isključivanje rizičnih sistema.